題-1_100_100.jpg)
基本信息
- 項(xiàng)目名稱：
- 浮云系統(tǒng)
- 來(lái)源：
- 第十二屆“挑戰(zhàn)杯”省賽作品
- 小類：
- 信息技術(shù)
- 大類：
- 科技發(fā)明制作A類
- 簡(jiǎn)介：
- 本作品通過(guò)分析提取常見(jiàn)木馬的在不同通信階段的行為特征，提出通用性較強(qiáng)的隱蔽通信行為檢測(cè)方法，開(kāi)發(fā)具有較低虛警率和漏報(bào)率，且計(jì)算復(fù)雜度滿足實(shí)際應(yīng)用需求的網(wǎng)絡(luò)木馬檢測(cè)系統(tǒng)。本作品不僅可以對(duì)已知木馬進(jìn)行有效檢測(cè)，還對(duì)變種木馬、變形木馬和加密木馬具有較強(qiáng)的檢測(cè)能力。
- 詳細(xì)介紹：
- 近年來(lái)，借助木馬工具的網(wǎng)絡(luò)竊密案件不斷發(fā)生，本作品設(shè)計(jì)的目的是通過(guò)在網(wǎng)絡(luò)端檢測(cè)木馬、木馬變種和未知木馬來(lái)提高關(guān)鍵網(wǎng)絡(luò)的安全性，可用于網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)失竊密行為的取證，“讓什么木馬都變成浮云?！? 本作品的基本思路是通過(guò)分析提取常見(jiàn)木馬的在不同通信階段的行為特征，提出通用性較強(qiáng)的隱蔽通信行為檢測(cè)方法，開(kāi)發(fā)具有較低虛警率和漏報(bào)率，且計(jì)算復(fù)雜度滿足實(shí)際應(yīng)用需求的網(wǎng)絡(luò)木馬檢測(cè)系統(tǒng)。不僅可以對(duì)已知木馬進(jìn)行有效檢測(cè)，還對(duì)變種木馬、變形木馬和加密木馬具有較強(qiáng)的檢測(cè)能力。 主要采用如下技術(shù)： （1）基于通信行為特征的木馬檢測(cè)技術(shù) 現(xiàn)有的木馬檢測(cè)技術(shù)主要采用特征碼匹配技術(shù)，本作品主要采用基于通信行為特征分析的檢測(cè)技術(shù)。相較于基于特征碼匹配的檢測(cè)技術(shù)，基于通信行為特征分析的檢測(cè)技術(shù)在時(shí)效性和擴(kuò)展性方面具有明顯優(yōu)勢(shì)，有利于發(fā)現(xiàn)潛在的、未知的網(wǎng)絡(luò)竊密行為和威脅，具有更廣的應(yīng)用前景。 （2）基于時(shí)頻分析的通信行為特征提取 現(xiàn)有對(duì)木馬通信行為的分析均采用傳統(tǒng)概率統(tǒng)計(jì)方法，本作品則提出新的時(shí)頻分析方法對(duì)木馬通信行為進(jìn)行分析，并提取有效的檢測(cè)特征。通過(guò)考察木馬通信行為在頻域上的信號(hào)特性，獲取更有利于檢測(cè)木馬通信的行為特征。其中，基于小波變換思想構(gòu)造了快速的二階差分特征，解決了木馬通信變長(zhǎng)度心跳行為的檢測(cè)難題。 （3）低計(jì)算復(fù)雜度的木馬通信行為檢測(cè)方法 為滿足實(shí)際應(yīng)用中對(duì)網(wǎng)絡(luò)數(shù)據(jù)處理速度的要求，本作品在設(shè)計(jì)過(guò)程中充分考慮了計(jì)算復(fù)雜度因素。在網(wǎng)絡(luò)會(huì)話重組階段，拋棄傳統(tǒng)的鏈表式會(huì)話提取算法，專門設(shè)計(jì)了基于數(shù)組鏈表的快速會(huì)話提取算法。在通信行為檢測(cè)特征提取階段，篩選出分類性能優(yōu)良且計(jì)算復(fù)雜度不超過(guò)線性對(duì)數(shù)級(jí)的通信行為特征。通過(guò)引入高效的C4.5決策樹(shù)分類算法作為訓(xùn)練和分類器，進(jìn)一步降低了檢測(cè)系統(tǒng)的計(jì)算開(kāi)銷。
作品圖片
作品專業(yè)信息
設(shè)計(jì)、發(fā)明的目的和基本思路、創(chuàng)新點(diǎn)、技術(shù)關(guān)鍵和主要技術(shù)指標(biāo)
- 近年來(lái)，借助木馬工具的網(wǎng)絡(luò)竊密案件不斷發(fā)生，本作品(“浮云”系統(tǒng))設(shè)計(jì)的目的是通過(guò)在網(wǎng)絡(luò)端檢測(cè)木馬、木馬變種和未知木馬來(lái)提高關(guān)鍵網(wǎng)絡(luò)的安全性，可用于網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)失竊密行為的取證，“讓什么木馬都變成浮云?！? 本作品的基本思路是通過(guò)分析提取常見(jiàn)木馬的在不同通信階段的行為特征，提出通用性較強(qiáng)的隱蔽通信行為檢測(cè)方法，開(kāi)發(fā)具有較低虛警率和漏報(bào)率，且計(jì)算復(fù)雜度滿足實(shí)際應(yīng)用需求的網(wǎng)絡(luò)木馬檢測(cè)系統(tǒng)。 主要?jiǎng)?chuàng)新點(diǎn)： （1）基于通信行為特征的木馬檢測(cè)技術(shù) （2）基于時(shí)頻分析的通信行為特征提取 （3）低計(jì)算復(fù)雜度的木馬通信行為檢測(cè)方法 技術(shù)關(guān)鍵： 本作品通過(guò)對(duì)木馬的建立連接、保持連接無(wú)操作和交互操作等三個(gè)不同階段分別進(jìn)行分析，提取針對(duì)性較強(qiáng)的行為特征屬性用于木馬通信行為檢測(cè)。在主要技術(shù)上，除了結(jié)合傳統(tǒng)的數(shù)據(jù)挖掘和流量分析技術(shù)，還創(chuàng)新的引入信號(hào)處理領(lǐng)域的時(shí)頻分析技術(shù)，構(gòu)造了有較強(qiáng)通用性的木馬檢測(cè)特征。 （1）連接建立階段。 （2）保持連接無(wú)操作階段。 （3）交互操作階段。 主要技術(shù)指標(biāo)： （1）能夠檢測(cè)PcShare、灰鴿子等主流木馬及其變種； （2）至少能夠檢測(cè)采用HTTP、HTTPS隧道類型的木馬； （3）至少支持100Mbps帶寬的網(wǎng)絡(luò)； （4）木馬處于普通連接狀態(tài)時(shí)，在漏檢率為5%條件下，虛警率控制在1%以下；木馬處于數(shù)據(jù)下載狀態(tài)時(shí)，在漏檢率為5%條件下，虛警率控制在1%以下。
科學(xué)性、先進(jìn)性
- 目前在針對(duì)木馬通信的檢測(cè)，主要存在以下三種檢測(cè)技術(shù)，分別是：基于特征匹配的檢測(cè)技術(shù)、基于協(xié)議分析的檢測(cè)技術(shù)和基于行為分析的檢測(cè)技術(shù)。 總體而言，現(xiàn)階段安全產(chǎn)品對(duì)木馬的檢測(cè)方法主要是采用基于特征的檢測(cè)技術(shù)，但是隨著木馬的不斷更新，木馬通信中的特征字串在不斷變化，甚至不存在特征字串，基于特征的檢測(cè)設(shè)備“反應(yīng)遲緩”的特點(diǎn)會(huì)給網(wǎng)絡(luò)安全帶來(lái)極大的隱患。同時(shí)，各種新型網(wǎng)絡(luò)隱蔽通道及各種變形技術(shù)的不斷出現(xiàn)也使得基于特征的檢測(cè)設(shè)備效率極低，傳統(tǒng)的基于特征匹配的檢測(cè)技術(shù)具有很大局限性。相較于特征字匹配技術(shù)，基于通信行為分析的木馬檢測(cè)技術(shù)具有較強(qiáng)的通用性，該技術(shù)作為檢測(cè)木馬隱蔽通信的首選技術(shù)，已成為中外學(xué)者的研究熱點(diǎn)。但目前由于基于行為的檢測(cè)方法實(shí)現(xiàn)困難，且普遍存在虛警率和漏報(bào)率高的現(xiàn)象，性能還無(wú)法滿足網(wǎng)絡(luò)安全監(jiān)控的實(shí)際需求。
獲獎(jiǎng)情況及鑒定結(jié)果
- 無(wú)
作品所處階段
- 中試階段
技術(shù)轉(zhuǎn)讓方式
- 專利技術(shù)轉(zhuǎn)讓
作品可展示的形式
- ■實(shí)物、產(chǎn)品 ■模型 ■磁盤 ■現(xiàn)場(chǎng)演示 ■圖片 ■樣品
使用說(shuō)明,技術(shù)特點(diǎn)和優(yōu)勢(shì),適應(yīng)范圍,推廣前景的技術(shù)性說(shuō)明,市場(chǎng)分析,經(jīng)濟(jì)效益預(yù)測(cè)
- “浮云”系統(tǒng)可以采用串接和并接兩種方式部署在被監(jiān)控網(wǎng)絡(luò)中。為用戶提供網(wǎng)絡(luò)安全保護(hù)管理或?qū)W(wǎng)絡(luò)失竊密行為進(jìn)行審計(jì)取證。 每年在我國(guó)發(fā)生的網(wǎng)絡(luò)失竊密事件不計(jì)其數(shù)，對(duì)網(wǎng)絡(luò)安全造成了嚴(yán)重威脅。本作品的研究成果對(duì)于提高關(guān)鍵網(wǎng)絡(luò)的安全性和減少竊密案件發(fā)生具有重要意義，可提高竊密攻擊檢測(cè)的效率，提升對(duì)竊密攻擊的監(jiān)測(cè)能力。研究成果可應(yīng)用于公安、安全、等級(jí)測(cè)評(píng)等單位進(jìn)行安全檢查與風(fēng)險(xiǎn)評(píng)估，也可為政府機(jī)關(guān)、軍隊(duì)、重要企業(yè)等部門提供日常的網(wǎng)絡(luò)安全保護(hù)，通過(guò)部署于網(wǎng)絡(luò)出口處，有效檢測(cè)竊密型木馬網(wǎng)絡(luò)隱蔽通信，減少損失，為網(wǎng)絡(luò)安全保護(hù)和審計(jì)取證工作提供有力的技術(shù)支撐，產(chǎn)生良好的社會(huì)和經(jīng)濟(jì)效益。
同類課題研究水平概述
- 目前針對(duì)木馬通信的檢測(cè)主要存在三種檢測(cè)技術(shù)，分別是：基于特征匹配的檢測(cè)技術(shù)、基于協(xié)議分析的檢測(cè)技術(shù)和基于行為分析的檢測(cè)技術(shù)。其中，基于特征匹配的檢測(cè)技術(shù)通過(guò)建立并維護(hù)一個(gè)預(yù)先定義的特征數(shù)據(jù)庫(kù)，用數(shù)據(jù)庫(kù)中的特征信息與所監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行匹配，如果匹配成功則產(chǎn)生報(bào)警。基于協(xié)議分析的檢測(cè)技術(shù)通過(guò)對(duì)網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行協(xié)議分析，如果發(fā)現(xiàn)數(shù)據(jù)流中存在違背協(xié)議規(guī)范的行為則產(chǎn)生報(bào)警?；谛袨榈臋z測(cè)技術(shù)利用數(shù)據(jù)包自身特點(diǎn)和鏈路的各種特征屬性來(lái)描述網(wǎng)絡(luò)行為，檢測(cè)木馬攻擊。 在上述三種檢測(cè)技術(shù)中，基于行為的檢測(cè)技術(shù)被認(rèn)為是最有前景的木馬檢測(cè)方法，代表著該領(lǐng)域未來(lái)的發(fā)展趨勢(shì)。相較于特征字匹配技術(shù)，基于行為的檢測(cè)技術(shù)具有較強(qiáng)的通用性，該技術(shù)作為檢測(cè)竊密型木馬的首選技術(shù)，已成為中外學(xué)者的研究熱點(diǎn)。 目前國(guó)內(nèi)的安全產(chǎn)品對(duì)竊密型木馬的檢測(cè)方法主要是采用基于特征碼匹配的檢測(cè)技術(shù)，公開(kāi)市場(chǎng)上尚未出現(xiàn)成熟的基于通信行為的檢測(cè)設(shè)備。但是隨著木馬的不斷更新，木馬通信中的特征字串在不斷變化，甚至不存在特征字串，基于特征碼的檢測(cè)設(shè)備時(shí)滯性特點(diǎn)會(huì)給網(wǎng)絡(luò)安全帶來(lái)極大的隱患。同時(shí)，各種新型木馬通信及各種變形技術(shù)的不斷出現(xiàn)也使得基于特征的檢測(cè)設(shè)備效率極低，傳統(tǒng)的基于特征匹配的檢測(cè)技術(shù)具有很大局限性。
